JP2015146520A - 中継システム - Google Patents

Abstract

【課題】ネットワークでの断線に起因してデータ通信が行うことができなくなる事態の発生を抑制【解決手段】ゲートウェイ装置２（以下、ＧＷ装置２という）は、通信線１１，１２に接続され、通信線１１に接続されたＥＣＵ５と、通信線１２に接続されたＥＣＵ６との間のデータ通信を中継する。ＥＣＵ３は、通信線１１，１２に接続され、ＥＣＵ５との間でデータ通信を行うとともに、ＥＣＵ６との間でデータ通信を行う。またＧＷ装置２は、通信線１１，１２において断線が発生した断線箇所を検出する。そしてＧＷ装置２は、断線箇所の検出結果に基づいて、ＧＷ装置２がＥＣＵ５とＥＣＵ６との間のデータ通信を中継することが不可能であり、且つ、ＥＣＵ３がＥＣＵ５およびＥＣＵ６との間のデータ通信を行うことが可能であると判断した場合に、ＥＣＵ３に、ＥＣＵ５とＥＣＵ６との間のデータ通信を中継させる。【選択図】図１

Description

本発明は、複数のネットワークを相互に接続する中継システムに関する。

車両において制御の高度化およびサービスの充実などを図るために、電子制御装置（ＥＣＵ）等の車載機器同士を通信線で相互に接続してローカルエリアネットワーク（いわゆる車内ＬＡＮ）を構成し、車載機器間で情報を共有することが行われている。

また従来、車両において、複数のネットワークを相互に接続するために中継装置が利用されている（例えば、特許文献１を参照）。

特開２００９−７１６８８号公報

しかし、中継装置に接続されているネットワークで断線が発生すると、その断線箇所によっては、複数のネットワーク間でデータ通信を行うことができなくなってしまうという問題があった。

本発明は、こうした問題に鑑みてなされたものであり、ネットワークでの断線に起因してデータ通信が行うことができなくなる事態の発生を抑制することを目的とする。

上記目的を達成するためになされた本発明の中継システムは、中継装置と、第３通信装置と、断線検出手段と、断線時中継手段とを備える。
まず中継装置は、第１通信線および第２通信線に接続され、第１通信線に接続された第１通信装置と、第２通信線に接続された第２通信装置との間のデータ通信を中継する。

また第３通信装置は、第１通信線および第２通信線に接続され、第１通信線に接続された第１通信装置との間でデータ通信を行うとともに、第２通信線に接続された第２通信装置との間でデータ通信を行う。

また断線検出手段は、第１通信線および第２通信線において断線が発生した断線箇所を検出する。
そして断線時中継手段は、断線検出手段による断線箇所の検出結果に基づいて、中継装置が第１通信装置と第２通信装置との間のデータ通信を中継することが不可能であり、且つ、第３通信装置が第１通信装置および第２通信装置との間のデータ通信を行うことが可能であると判断した場合に、第３通信装置に、第１通信装置と第２通信装置との間のデータ通信を中継させる。

このように構成された本発明の中継システムでは、第１通信線および第２通信線における断線の発生により、中継装置が第１通信装置と第２通信装置との間のデータ通信を中継することができなくなる事態の発生が想定される。

しかし、本発明の中継システムでは、第３通信装置が、第１通信装置との間でデータ通信を行うとともに、第２通信装置との間でデータ通信を行う。このため、第３通信装置は、第１通信装置と第２通信装置との間のデータ通信を中継させることが可能である。

したがって、第３通信装置が第１通信装置および第２通信装置との間のデータ通信を行うことが可能である場合には、中継装置の代わりに、第３通信装置に、第１通信装置と第２通信装置との間のデータ通信を中継させることができる。

これにより、本発明の中継システムによれば、互いに異なる通信線で接続された第１通信装置と第２通信装置との間でデータ通信が行うことができなくなる事態の発生を抑制することができる。

車載通信システム１の構成を示すブロック図である。 ゲートウェイ装置２の構成を示すブロック図である。 ＥＣＵ３，４の構成を示すブロック図である。 ＥＣＵ５〜９の構成を示すブロック図である。 ＧＷ中継設定処理を示すフローチャートである。 ＥＣＵ中継設定処理を示すフローチャートである。 断線発生時の中継方法を説明するための第１の具体例を示す図である。 断線発生時の中継方法を説明するための第２の具体例を示す図である。 断線発生時の中継方法を説明するための第３の具体例を示す図である。 断線発生時の中継方法を説明するための第４の具体例を示す図である。 ２チャネル送信処理を示すフローチャートである。 ２チャネル受信処理を示すフローチャートである。 断線発生時のデータ受信方法を説明するための第１の具体例を示す図である。 第１実施形態のリプログ中継処理を示すフローチャートである。 第１実施形態の書換処理を示すフローチャートである。 第１実施形態でリプログデータを中継する場合の具体例を示す図である。 第２実施形態のリプログ中継処理を示すフローチャートである。 第２実施形態の書換処理を示すフローチャートである。 第３実施形態のリプログ中継処理を示すフローチャートである。 第３実施形態の書換処理を示すフローチャートである。 断線発生時の中継方法を説明するための第５の具体例を示す図である。 断線発生時のデータ受信方法を説明するための第２の具体例を示す図である。

（第１実施形態）
以下に本発明の第１実施形態を図面とともに説明する。
本実施形態の車載通信システム１は、図１に示すように、ゲートウェイ装置２、電子制御装置（Electronic Control Unit）３，４，５，６，７，８，９（以下、ＥＣＵ３，４，５，６，７，８，９という）と、外部装置１０とを備える。

ゲートウェイ装置２とＥＣＵ３，４，５は、車両に搭載されている通信線１１を介して互いにデータ通信可能に接続されており、ＣＡＮ（Controller Area Network）通信プロトコルに従ってデータの送受信を行う。

またゲートウェイ装置２とＥＣＵ３，４，６，７は、車両に搭載されている通信線１２を介して互いにデータ通信可能に接続されており、ＣＡＮ通信プロトコルに従ってデータの送受信を行う。

またゲートウェイ装置２とＥＣＵ８，９は、車両に搭載されている通信線１３を介して互いにデータ通信可能に接続されており、ＣＡＮ通信プロトコルに従ってデータの送受信を行う。

以下、通信線１１を介したＣＡＮ通信をチャネル１のＣＡＮ通信、通信線１２を介したＣＡＮ通信をチャネル２のＣＡＮ通信、通信線１３を介したＣＡＮ通信をチャネル３のＣＡＮ通信という。

ゲートウェイ装置２と外部装置１０は、車両に搭載されている通信線１４を介して互いにデータ通信可能に接続されており、イーサネット（登録商標）通信プロトコルに従ってデータの送受信を行う。また通信線１４には、外部装置１０を通信線１４に対して着脱可能とするためのコネクタＣＮが設けられている。

ゲートウェイ装置２は、図２に示すように、イーサネット通信部２１と、ＣＡＮ通信部２２，２３，２４と、制御部２５とを備える。
イーサネット通信部２１は、通信線１４に接続された通信装置（本実施形態では外部装置１０）との間で、イーサネット通信プロトコルに基づいて通信を行う。

ＣＡＮ通信部２２，２３，２４はそれぞれ、通信線１１，１２，１３に接続された通信装置との間で、ＣＡＮ通信プロトコルに基づいて通信を行う。
制御部２５は、ＣＰＵ、ＲＯＭ、ＲＡＭ、Ｉ／Ｏ及びこれらの構成を接続するバスラインなどからなる周知のマイクロコンピュータを中心に構成されている。そして制御部２５は、互いに異なる通信線１１〜１４に接続された通信装置間におけるデータ通信を中継するための処理を行う。

ＥＣＵ３，４は、図３に示すように、ＣＡＮ通信部３１，３２と、制御部３３とを備える。
ＣＡＮ通信部３１，３２はそれぞれ、通信線１１，１２に接続された通信装置との間で、ＣＡＮ通信プロトコルに基づいて通信を行う。

制御部３３は、ＣＰＵ、ＲＯＭ、ＲＡＭ、Ｉ／Ｏ及びこれらの構成を接続するバスラインなどからなる周知のマイクロコンピュータを中心に構成され、車両を制御するための各種処理を実行する。

ＥＣＵ５，６，７，８，９は、図４に示すように、ＣＡＮ通信部４１と、制御部４２とを備える。
ＣＡＮ通信部４１は、通信線１１，１２，１３の何れか一つに接続された通信装置との間で、ＣＡＮ通信プロトコルに基づいて通信を行う。なお、ＥＣＵ５のＣＡＮ通信部４１は通信線１１に接続され、ＥＣＵ６，７のＣＡＮ通信部４１は通信線１２に接続され、ＥＣＵ８，９のＣＡＮ通信部４１は通信線１３に接続される。

制御部４２は、ＣＰＵ、ＲＯＭ、ＲＡＭ、Ｉ／Ｏ及びこれらの構成を接続するバスラインなどからなる周知のマイクロコンピュータを中心に構成され、車両を制御するための各種処理を実行する。

なおＥＣＵ３〜９としては、具体的には、エンジン制御を行うエンジンＥＣＵ、ブレーキ制御を行うブレーキＥＣＵ、ステアリング制御を行うステアリングＥＣＵ、サスペンション制御を行うサスペンションＥＣＵ、ライトのオン／オフを制御するＥＣＵ等、種々の電子制御装置を挙げることができる。

外部装置１０は、ＥＣＵ３〜９との間で通信を行うことにより、車両状態の診断、およびＥＣＵ３〜９に記憶されるプログラムの書き換え（リプログ）等を行うための装置であり、コネクタＣＮを介してゲートウェイ装置２に接続される。

次に、ゲートウェイ装置２が実行するゲートウェイ中継設定処理（以下、ＧＷ中継設定処理という）の手順を説明する。ＧＷ中継設定処理は、ゲートウェイ装置２の動作中に繰り返し実行される処理である。

このＧＷ中継設定処理が実行されると、ゲートウェイ装置２の制御部２５は、図５に示すように、まずＳ１０にて、通信線１１，１２，１３の断線検出を行う。具体的には、ゲートウェイ装置２は、まず、断線検出用の確認信号をＥＣＵ３，４，５，６，７，８，９へ送信する。その後、ゲートウェイ装置２は、予め設定された受信待機時間が経過するまでに、ＥＣＵ３，４，５，６，７，８，９からの応答信号を受信したか否かを判断する。そしてゲートウェイ装置２は、応答信号の受信についての判断結果に基づいて、通信線１１，１２，１３における断線箇所を特定する。

例えば、ＥＣＵ３，４，５からの応答信号を受信しなかった場合には、通信線１１においてゲートウェイ装置２とＥＣＵ３との間で断線が発生したと判断する（図７の断線箇所ＯＰ１を参照）。また、ＥＣＵ８からの応答信号を受信するとともにＥＣＵ９からの応答信号を受信しなかった場合には、通信線１３においてＥＣＵ８とＥＣＵ９との間で断線が発生したと判断する（図７の断線箇所ＯＰ２を参照）。

その後Ｓ２０にて、Ｓ１０での検出結果に基づいて、これまでに検出した断線箇所と異なる新たな断線を検出したか否かを判断する。ここで、新たな断線を検出していない場合には（Ｓ２０：ＮＯ）、ＧＷ中継設定処理を一旦終了する。一方、新たな断線を検出した場合には（Ｓ２０：ＹＥＳ）、Ｓ３０にて、Ｓ１０で新たに検出した断線箇所に基づいて、２つのＣＡＮチャネルに接続されているＥＣＵ３，４について、データ送信方法を選択する。

データ送信方法は、中継モード、チャネル１送信モードおよびチャネル２送信モードを備えている。
中継モードは、チャネル１で受信したデータをチャネル２で送信するとともに、チャネル２で受信したデータをチャネル１で送信する方法である。

チャネル１送信モードは、自装置が送信元となるデータをチャネル１で送信する方法である。
チャネル２送信モードは、自装置が送信元となるデータをチャネル２で送信する方法である。

例えば、通信線１１においてゲートウェイ装置２とＥＣＵ３との間で断線が発生した場合には（図７の断線箇所ＯＰ１を参照）、ＥＣＵ３のデータ送信方法として中継モードを選択する。

また、通信線１２においてゲートウェイ装置２とＥＣＵ６との間で断線が発生した場合には（図８の断線箇所ＯＰ３を参照）、ＥＣＵ４のデータ送信方法として中継モードを選択する。

また、ＥＣＵ３を通信線１２に接続するための通信線で断線が発生した場合には（図９の断線箇所ＯＰ４を参照）、ＥＣＵ３のデータ送信方法としてチャネル１送信モードを選択する。

また、ＥＣＵ７を通信線１２に接続するための通信線で断線が発生した場合には（図１０の断線箇所ＯＰ５を参照）、データ送信方法の選択を行わない。
そしてＳ４０にて、Ｓ３０での選択結果に基づいて、ＥＣＵ３でのデータ送信方法が変化したか否かを判断する。ここで、ＥＣＵ３でのデータ送信方法が変化した場合には（Ｓ４０：ＹＥＳ）、Ｓ５０にて、Ｓ３０で選択されたデータ送信方法は中継モードであるか否かを判断する。

ここで、データ送信方法が中継モードである場合には（Ｓ５０：ＹＥＳ）、Ｓ６０にて、中継モードを指示する送信方法設定命令をＥＣＵ３へ送信し、Ｓ１００に移行する。一方、データ送信方法が中継モードでない場合には（Ｓ５０：ＮＯ）、Ｓ７０にて、Ｓ３０で選択されたデータ送信方法はチャネル１送信モードであるか否かを判断する。

ここで、データ送信方法がチャネル１送信モードである場合には（Ｓ７０：ＹＥＳ）、Ｓ８０にて、チャネル１送信モードを指示する送信方法設定命令をＥＣＵ３へ送信し、Ｓ１００に移行する。一方、データ送信方法がチャネル１送信モードでない場合には（Ｓ７０：ＮＯ）、データ送信方法がチャネル２送信モードであると判断して、Ｓ９０にて、チャネル２送信モードを指示する送信方法設定命令をＥＣＵ３へ送信し、Ｓ１００に移行する。

またＳ４０にて、ＥＣＵ３でのデータ送信方法が変化していない場合には（Ｓ４０：ＮＯ）、Ｓ１００に移行する。
そしてＳ１００に移行すると、Ｓ３０での選択結果に基づいて、ＥＣＵ４でのデータ送信方法が変化したか否かを判断する。ここで、ＥＣＵ３でのデータ送信方法が変化した場合には（Ｓ１００：ＹＥＳ）、Ｓ１１０にて、Ｓ３０で選択されたデータ送信方法は中継モードであるか否かを判断する。

ここで、データ送信方法が中継モードである場合には（Ｓ１１０：ＹＥＳ）、Ｓ１２０にて、中継モードを指示する送信方法設定命令をＥＣＵ４へ送信し、Ｓ１６０に移行する。一方、データ送信方法が中継モードでない場合には（Ｓ１１０：ＮＯ）、Ｓ１３０にて、Ｓ３０で選択されたデータ送信方法はチャネル１送信モードであるか否かを判断する。

ここで、データ送信方法がチャネル１送信モードである場合には（Ｓ１３０：ＹＥＳ）、Ｓ１４０にて、チャネル１送信モードを指示する送信方法設定命令をＥＣＵ４へ送信し、Ｓ１６０に移行する。一方、データ送信方法がチャネル１送信モードでない場合には（Ｓ１３０：ＮＯ）、データ送信方法がチャネル２送信モードであると判断して、Ｓ１５０にて、チャネル２送信モードを指示する送信方法設定命令をＥＣＵ３へ送信し、Ｓ１６０に移行する。

またＳ１００にて、ＥＣＵ４でのデータ送信方法が変化していない場合には（Ｓ１００：ＮＯ）、Ｓ１６０に移行する。
そしてＳ１６０に移行すると、Ｓ１０で新たに検出した断線箇所に基づいて、ゲートウェイ装置２について、ＣＡＮチャネル間の中継方法を設定する。

例えば、通信線１１においてゲートウェイ装置２とＥＣＵ３との間で断線が発生した場合には（図７の断線箇所ＯＰ１を参照）、チャネル２，３とチャネル１との間での中継を禁止する。

また、通信線１２においてゲートウェイ装置２とＥＣＵ６との間で断線が発生した場合には（図８の断線箇所ＯＰ３を参照）、チャネル１，３とチャネル２との間での中継を禁止する。

そして、Ｓ１６０における中継方法の設定が完了すると、ＧＷ中継設定処理を一旦終了する。
次に、ＥＣＵ３，４が実行するＥＣＵ中継設定処理の手順を説明する。ＥＣＵ中継設定処理は、ＥＣＵ３，４の動作中に繰り返し実行される処理である。

このＥＣＵ中継設定処理が実行されると、ＥＣＵ３，４の制御部３３は、図６に示すように、まずＳ２１０にて、ゲートウェイ装置２から送信方法設定命令を受信したか否かを判断する。ここで、送信方法設定命令を受信していない場合には（Ｓ２１０：ＮＯ）、ＥＣＵ中継設定処理を一旦終了する。一方、送信方法設定命令を受信した場合には（Ｓ２１０：ＹＥＳ）、Ｓ２２０にて、自装置を、送信方法設定命令で指示されたモードに設定し、ＥＣＵ中継設定処理を一旦終了する。

次に、断線が発生した場合の中継方法の具体例を説明する。
図７に示すように、通信線１２に接続されているＥＣＵ６から、通信線１１に接続されているＥＣＵ５へデータを送信する場合には、ゲートウェイ装置２を介する必要がある（伝送経路ＴＰ１を参照）。また、通信線１３に接続されているＥＣＵ８から、通信線１１に接続されているＥＣＵ５へデータを送信する場合には、ゲートウェイ装置２を介する必要がある（伝送経路ＴＰ２を参照）。

しかし、通信線１１においてゲートウェイ装置２とＥＣＵ３との間で断線が発生すると（断線箇所ＯＰ１を参照）、ゲートウェイ装置２を介してチャネル１とチャネル２，３との間でデータ通信を行うことができなくなる。

このような状況の場合に、ＥＣＵ３がチャネル１とチャネル２との間でデータの中継を行うことにより、通信線１２に接続されているＥＣＵ６から、通信線１１に接続されているＥＣＵ５へデータを送信することが可能となる（伝送経路ＴＰ３を参照）。さらに、ＣＵ３がチャネル１とチャネル２との間でデータの中継を行うことにより、通信線１３に接続されているＥＣＵ８から、通信線１１に接続されているＥＣＵ５へデータを送信することが可能となる（伝送経路ＴＰ４を参照）。

また図８に示すように、通信線１２においてゲートウェイ装置２とＥＣＵ６との間で断線が発生すると（断線箇所ＯＰ３を参照）、ゲートウェイ装置２を介してチャネル１とチャネル２との間でデータ通信を行うことができなくなる。

このような状況の場合に、ＥＣＵ４がチャネル１とチャネル２との間でデータの中継を行うことにより、通信線１２に接続されているＥＣＵ６から、通信線１１に接続されているＥＣＵ５へデータを送信することが可能となる（伝送経路ＴＰ５を参照）。

また図９に示すように、ＥＣＵ３を通信線１２に接続するための通信線で断線が発生すると（断線箇所ＯＰ４を参照）、ＥＣＵ３とＥＣＵ６との間で通信線１２を介したデータ通信を行うことができなくなる（伝送経路ＴＰ６を参照）。

このような状況の場合に、ＥＣＵ３がチャネル１でデータを送信することにより、ゲートウェイ装置２を介して、通信線１２に接続されているＥＣＵ６へデータを送信することが可能となる（伝送経路ＴＰ７を参照）。

一方、図１０に示すように、ＥＣＵ７を通信線１２に接続するための通信線で断線が発生した場合には（断線箇所ＯＰ５を参照）、ＥＣＵ３，４のデータ送信方法を、中継モード、チャネル１送信モードおよびチャネル２送信モードの何れに設定しても、ＥＣＵ７との間でのデータ通信を可能とすることはできない。

次に、ＥＣＵ３が実行する２チャネル送信処理の手順を説明する。２チャネル送信処理は、ＥＣＵ３の動作中に繰り返し実行される処理である。
この２チャネル送信処理が実行されると、ＥＣＵ３の制御部３３は、図１１に示すように、まずＳ３１０にて、送信データがあるか否かを判断する。ここで、送信データがない場合には（Ｓ３１０：ＮＯ）、２チャネル送信処理を一旦終了する。一方、送信データがある場合には（Ｓ３１０：ＹＥＳ）、Ｓ３２０にて、送信データがＥＣＵ４宛であるか否かを判断する。

ここで、送信データがＥＣＵ４宛である場合には（Ｓ３２０：ＹＥＳ）、Ｓ３３０にて、送信データをチャネル１とチャネル２で送信し、２チャネル送信処理を一旦終了する。一方、送信データがＥＣＵ４宛でない場合には（Ｓ３２０：ＮＯ）、Ｓ３４０にて、送信データをチャネル１で送信し、２チャネル送信処理を一旦終了する。

次に、ＥＣＵ４が実行する２チャネル受信処理の手順を説明する。２チャネル受信処理は、ＥＣＵ４の動作中に繰り返し実行される処理である。
この２チャネル受信処理が実行されると、ＥＣＵ４の制御部３３は、図１２に示すように、まずＳ４１０にて、通信線１１，１２の断線検出を行う。具体的には、ＥＣＵ４は、まず、断線検出用の確認信号をチャネル１とチャネル２でＥＣＵ３へ送信する。その後、ＥＣＵ４は、予め設定された受信待機時間が経過するまでに、ＥＣＵ３からの応答信号をチャネル１とチャネル２で受信したか否かを判断する。そしてＥＣＵ４は、応答信号の受信についての判断結果に基づいて、通信線１１，１２における断線箇所を特定する。例えば、チャネル１で応答信号を受信しなかった場合には、通信線１１においてＥＣＵ３とＥＣＵ４との間で断線が発生したと判断する。また、チャネル２で応答信号を受信しなかった場合には、通信線１２においてＥＣＵ３とＥＣＵ４との間で断線が発生したと判断する（図１３の断線箇所ＯＰ１１を参照）。

その後Ｓ４２０にて、データを受信したか否かを判断する。ここで、データを受信していない場合には（Ｓ４２０：ＮＯ）、２チャネル受信処理を一旦終了する。一方、データを受信した場合には（Ｓ４２０：ＹＥＳ）、Ｓ４３０にて、Ｓ４１０での検出結果に基づいて、通信線１１または通信線１２で断線が発生しているか否かを判断する。ここで、通信線１１，１２で断線が発生している場合には（Ｓ４３０：ＹＥＳ）、２チャネル受信処理を一旦終了する。

一方、通信線１１，１２で断線が発生していない場合には（Ｓ４３０：ＮＯ）、Ｓ４４０にて、受信データの送信元がＥＣＵ３であるか否かを判断する。ここで、送信元がＥＣＵ３でない場合には（Ｓ４４０：ＮＯ）、２チャネル受信処理を一旦終了する。

一方、送信元がＥＣＵ３である場合には（Ｓ４４０：ＹＥＳ）、Ｓ４５０にて、チャネル１とチャネル２の両方でデータを受信したか否かを判断する。ここで、チャネル１とチャネル２の両方でデータを受信していない場合には（Ｓ４５０：ＮＯ）、Ｓ４６０にて、受信したデータを破棄して、２チャネル受信処理を一旦終了する。

一方、チャネル１とチャネル２の両方でデータを受信した場合には（Ｓ４５０：ＹＥＳ）、Ｓ４７０にて、両チャネルで受信したデータが一致しているか否かを判断する。ここで、両データが一致していない場合には（Ｓ４７０：ＮＯ）、Ｓ４６０にて、受信したデータを破棄して、２チャネル受信処理を一旦終了する。一方、両データが一致している場合には（Ｓ４７０：ＹＥＳ）、２チャネル受信処理を一旦終了する。

次に、断線が発生した場合のデータ受信方法の具体例を説明する。
図１３に示すように、ＥＣＵ３は、ＥＣＵ４への送信データを、通信線１１（チャネル１）で送信する（伝送経路ＴＰ１１を参照）とともに、通信線１２（チャネル２）で送信する（伝送経路ＴＰ１２を参照）。これにより、ＥＣＵ４は、ＥＣＵ３からのデータを、通信線１１（チャネル１）および通信線１２（チャネル２）の両方で受信する。

しかし、通信線１２においてＥＣＵ３とＥＣＵ４との間で断線が発生すると（断線箇所ＯＰ１１を参照）、ＥＣＵ３とＥＣＵ４は互いに、通信線１２（チャネル２）でデータ通信を行うことができなくなる。

このような状況の場合には、ＥＣＵ４は、ＥＣＵ３からのデータを通信線１１（チャネル１）のみで受信する。
次に、ゲートウェイ装置２が実行するリプログ中継処理の手順を説明する。リプログ中継処理は、ゲートウェイ装置２の動作中に繰り返し実行される処理である。

このリプログ中継処理が実行されると、ゲートウェイ装置２の制御部２５は、図１４に示すように、まずＳ６１０にて、外部装置１０からリプログデータを受信したか否かを判断する。ここで、リプログデータを受信していない場合には（Ｓ６１０：ＮＯ）、リプログ中継処理を一旦終了する。

一方、リプログデータを受信した場合には（Ｓ６１０：ＮＯ）、Ｓ６２０にて、受信したリプログデータに付加されているチャネル識別情報に基づいて、チャネル識別情報がチャネル１を示しているか否かを判断する。ここで、チャネル識別情報がチャネル１を示している場合には（Ｓ５２０：ＹＥＳ）、Ｓ５３０にて、Ｓ５１０で受信したリプログデータを通信線１１（チャネル１）で送信し、リプログ中継処理を一旦終了する。一方、チャネル識別情報がチャネル２を示している場合には（Ｓ６２０：ＮＯ）、Ｓ６４０にて、Ｓ６１０で受信したリプログデータを通信線１２（チャネル２）で送信し、リプログ中継処理を一旦終了する。

次に、ＥＣＵ３，４が実行する書換処理の手順を説明する。書換処理は、ＥＣＵ３，４の動作中に繰り返し実行される処理である。
この書換処理が実行されると、ＥＣＵ３，４の制御部３３は、図１５に示すように、まずＳ７１０にて、ゲートウェイ装置２からチャネル１とチャネル２でリプログデータを受信したか否かを判断する。ここで、リプログデータを受信していない場合には（Ｓ７１０：ＮＯ）、書換処理を一旦終了する。一方、リプログデータを受信した場合には（Ｓ７１０：ＹＥＳ）、Ｓ７２０にて、自装置が備えるプログラム記憶部に、Ｓ７１０で受信したリプログデータを書き込み、書換処理を一旦終了する。なお、プログラム記憶部は、データ書き換え可能な不揮発性メモリである。

次に、ゲートウェイ装置２がリプログデータを中継する場合の具体例を説明する。
ＥＣＵ３に記憶されているプログラムを書き換える場合には、図１６に示すように、まず、外部装置１０からゲートウェイ装置２へリプログデータが送信される。そしてゲートウェイ装置２は、受信したリプログデータに付与されているチャネル識別情報がチャネル１を示している場合には、受信したリプログデータを通信線１１（チャネル１）で送信する（伝送経路ＴＰ２１を参照）。またゲートウェイ装置２は、受信したリプログデータに付与されているチャネル識別情報がチャネル２を示している場合には、受信したリプログデータを通信線１２（チャネル２）で送信する（伝送経路ＴＰ２２を参照）。

このように構成された車載通信システム１では、まずゲートウェイ装置２は、通信線１１および通信線１２に接続され、通信線１１に接続されたＥＣＵ５と、通信線１２に接続されたＥＣＵ６との間のデータ通信を中継する。

またＥＣＵ３は、通信線１１および通信線１２に接続され、通信線１１に接続されたＥＣＵ５との間でデータ通信を行うとともに、通信線１２に接続されたＥＣＵ６との間でデータ通信を行う。

またゲートウェイ装置２は、通信線１１および通信線１２において断線が発生した断線箇所を検出する（Ｓ１０）。
そしてゲートウェイ装置２は、断線箇所の検出結果に基づいて、ゲートウェイ装置２がＥＣＵ５とＥＣＵ６との間のデータ通信を中継することが不可能であり、且つ、ＥＣＵ３がＥＣＵ５およびＥＣＵ６との間のデータ通信を行うことが可能であると判断した場合に、ＥＣＵ３に、ＥＣＵ５とＥＣＵ６との間のデータ通信を中継させる（Ｓ２０〜Ｓ６０）。

このように構成された車載通信システム１では、通信線１１および通信線１２における断線の発生により、ゲートウェイ装置２がＥＣＵ５とＥＣＵ６との間のデータ通信を中継することができなくなる事態の発生が想定される。

しかし、車載通信システム１では、ＥＣＵ３が、ＥＣＵ５との間でデータ通信を行うとともに、ＥＣＵ６との間でデータ通信を行う。このため、ＥＣＵ３は、ＥＣＵ５とＥＣＵ６との間のデータ通信を中継させることが可能である。

したがって、ＥＣＵ３がＥＣＵ５およびＥＣＵ６との間のデータ通信を行うことが可能である場合には、ゲートウェイ装置２の代わりに、ＥＣＵ３に、ＥＣＵ５とＥＣＵ６との間のデータ通信を中継させることができる。

これにより、車載通信システム１によれば、互いに異なる通信線で接続されたＥＣＵ５とＥＣＵ６との間でデータ通信が行うことができなくなる事態の発生を抑制することができる。

またゲートウェイ装置２は、断線箇所の検出結果に基づいて、ＥＣＵ３がＥＣＵ５との間のデータ通信を行うことが不可能であり、且つ、ゲートウェイ装置２がＥＣＵ３とＥＣＵ５との間のデータ通信を中継することが可能であると判断した場合に、ＥＣＵ３に、通信線１１を介したデータ通信の代わりに、通信線１２を介したデータ通信を行わせる（Ｓ２０，Ｓ４０，Ｓ５０，Ｓ７０，Ｓ９０）。

これにより、ゲートウェイ装置２は、通信線１２を介してＥＣＵ３からのデータを受信すると、この受信データを通信線１１を介してＥＣＵ５へ送信することができる。またゲートウェイ装置２は、通信線１１を介してＥＣＵ５からのデータを受信すると、この受信データを通信線１２を介してＥＣＵ３へ送信することができる。

このため、ＥＣＵ３とＥＣＵ５との間でデータ通信が行うことができなくなる事態の発生を抑制することができる。
またゲートウェイ装置２は、断線箇所の検出結果に基づいて、ＥＣＵ３がＥＣＵ６との間のデータ通信を行うことが不可能であり、且つ、ゲートウェイ装置２がＥＣＵ３とＥＣＵ６との間のデータ通信を中継することが可能であると判断した場合に、ＥＣＵ３に、通信線１２を介したデータ通信の代わりに、通信線１１を介したデータ通信を行わせる(Ｓ２０，Ｓ４０，Ｓ５０，Ｓ７０，Ｓ８０)。

これにより、ゲートウェイ装置２は、通信線１１を介してＥＣＵ３からのデータを受信すると、この受信データを通信線１２を介してＥＣＵ６へ送信することができる。またゲートウェイ装置２は、通信線１２を介してＥＣＵ６からのデータを受信すると、この受信データを通信線１１を介してＥＣＵ３へ送信することができる。

このため、ＥＣＵ３とＥＣＵ６との間でデータ通信が行うことができなくなる事態の発生を抑制することができる。
またＥＣＵ３は、通信線１１を介してＥＣＵ４へ送信データを送信するとともに、通信線１２を介して送信データを送信し（Ｓ３３０）、これら両送信データには、互いに同じ内容のデータが含まれる。

これにより、ＥＣＵ４は、ＥＣＵ３からの送信データを、通信線１１と通信線１２の両方を介して受信することができる。
したがって、ＥＣＵ４は、通信線１１を介したデータ通信と、通信線１２を介したデータ通信の何れかで異常が発生したとしても、異常が発生していない通信線を介してＥＣＵ３からデータを受信することができる。

このため、ＥＣＵ３とＥＣＵ４との間でデータ通信が行うことができなくなる事態の発生を抑制することができる。
また、ゲートウェイ装置２のイーサネット通信部２１は、通信線１４に接続され、通信線１４に接続された外部装置１０から、リプログデータを受信する。

そしてゲートウェイ装置２は、チャネル１を示すチャネル識別情報が付加されたリプログデータを通信線１１を介してＥＣＵ３へ送信する（Ｓ６３０）。またゲートウェイ装置２は、チャネル２を示すチャネル識別情報が付加されたリプログデータを通信線１２を介してＥＣＵ３へ送信する（Ｓ６４０）。

これにより、ＥＣＵ３は、互いに異なる内容のリプログデータを通信線１１，１２を介して同時に受信することができる。このためＥＣＵ３は、１つの通信線を介してリプログデータを順次受信する場合よりも、リプログデータを受信するのに要する時間を短縮することができる。これによりＥＣＵ３は、ＥＣＵ３に記憶されているプログラムの書き換えに要する時間を短縮することができる。

以上説明した実施形態において、車載通信システム１は本発明における中継システム、ゲートウェイ装置２は本発明における中継装置、ＥＣＵ５は本発明における第１通信装置、ＥＣＵ６は本発明における第２通信装置、ＥＣＵ３は本発明における第３通信装置、Ｓ１０の処理は本発明における断線検出手段、Ｓ２０〜Ｓ６０の処理は本発明における断線時中継手段である。

また、Ｓ２０，Ｓ４０，Ｓ５０，Ｓ７０，Ｓ９０の処理は本発明における第１通信変更手段、Ｓ２０，Ｓ４０，Ｓ５０，Ｓ７０，Ｓ８０の処理は本発明における第２通信変更手段である。

また、外部装置１０は本発明におけるプログラム書換装置、イーサネット通信部２１は本発明における第１受信手段、Ｓ６３０の処理は本発明における第１書換データ送信手段、Ｓ６４０の処理は本発明における第２書換データ送信手段である。

（第２実施形態）
以下に本発明の第２実施形態を図面とともに説明する。なお第２実施形態では、第１実施形態と異なる部分を説明する。

第２実施形態の車載通信システム１は、リプログ中継処理と書換処理が第１実施形態と異なる。
まず、第２実施形態のリプログ中継処理の手順を説明する。

このリプログ中継処理が実行されると、ゲートウェイ装置２の制御部２５は、図１７に示すように、まずＳ８１０にて、外部装置１０からリプログデータを受信したか否かを判断する。ここで、リプログデータを受信していない場合には（Ｓ８１０：ＮＯ）、リプログ中継処理を一旦終了する。

一方、リプログデータを受信した場合には（Ｓ８１０：ＮＯ）、Ｓ８２０にて、Ｓ８１０で受信したリプログデータのハッシュ値を生成する。さらにＳ８３０にて、Ｓ８２０で生成したハッシュ値を共通鍵で暗号化する。

その後Ｓ８４０にて、Ｓ８１０で受信したリプログデータを通信線１１（チャネル１）で送信するとともに、Ｓ８３０で暗号化したハッシュ値を通信線１２（チャネル２）で送信し、リプログ中継処理を一旦終了する。

次に、第２実施形態の書換処理の手順を説明する。
この書換処理が実行されると、ＥＣＵ３，４の制御部３３は、図１８に示すように、まずＳ９１０にて、ゲートウェイ装置２からチャネル１でリプログデータを受信したか否かを判断する。ここで、リプログデータを受信していない場合には（Ｓ９１０：ＮＯ）、Ｓ９３０に移行する。一方、リプログデータを受信した場合には（Ｓ９１０：ＹＥＳ）、Ｓ９２０にて、Ｓ９１０で受信したリプログデータのハッシュ値を生成し、Ｓ９３０に移行する。

そしてＳ９３０に移行すると、暗号化したハッシュ値をチャネル２で受信したか否かを判断する。ここで、暗号化したハッシュ値を受信していない場合には（Ｓ９３０：ＮＯ）、Ｓ９５０に移行する。一方、暗号化したハッシュ値を受信した場合には（Ｓ９３０：ＹＥＳ）、Ｓ９４０にて、暗号化したハッシュ値を共通鍵で復号化し、Ｓ９５０に移行する。

そしてＳ９５０に移行すると、Ｓ９２０のハッシュ値とＳ９４０のハッシュ値の両方を取得したか否かを判断する。ここで、両ハッシュ値を取得していない場合には（Ｓ９５０：ＮＯ）、書換処理を一旦終了する。

一方、両ハッシュ値を取得した場合には（Ｓ９５０：ＹＥＳ）、Ｓ９６０にて、両ハッシュ値を照合する。そしてＳ９７０にて、Ｓ９６０の照合結果に基づいて、両ハッシュ値が一致しているか否かを判断する。ここで、両ハッシュ値が一致していない場合には（Ｓ９７０：ＮＯ）、書換処理を一旦終了する。一方、両ハッシュ値が一致している場合には（Ｓ９７０：ＹＥＳ）、Ｓ９８０にて、自装置が備えるプログラム記憶部に、Ｓ９１０で受信したリプログデータを書き込み、書換処理を一旦終了する。

このように構成された車載通信システム１において、まず、ゲートウェイ装置２のイーサネット通信部２１は、通信線１４に接続され、通信線１４に接続された外部装置１０から、リプログデータを受信する。

そしてゲートウェイ装置２は、受信したリプログデータのハッシュ値を生成する（Ｓ８２０）。さらにゲートウェイ装置２は、生成したハッシュ値を共通鍵で暗号化して、暗号化ハッシュ値を生成する（Ｓ８３０）。

その後にゲートウェイ装置２は、受信したリプログデータを、通信線１１を介してＥＣＵ３へ送信するとともに、生成された暗号化ハッシュ値を、通信線１２を介してＥＣＵ３へ送信する（Ｓ８４０）。

これによりＥＣＵ３は、以下の手順で、リプログデータを、自装置が備えるプログラム記憶部に書き込むことができる。まずＥＣＵ３は、ゲートウェイ装置２から通信線１１を介してリプログデータを受信すると、受信したリプログデータのハッシュ値を生成するとともに、通信線１２を介して暗号化ハッシュ値を受信すると、暗号化したハッシュ値を共通鍵で復号化することができる。そしてＥＣＵ３は、生成したハッシュ値と、復号されたハッシュ値が一致している場合に、受信したリプログデータを書き込む。

このため、ゲートウェイ装置２とＥＣＵ３の共通鍵を所持していない第三者により改ざんされたリプログデータと暗号化ハッシュ値を通信線１１，１２を介してＥＣＵ３が受信した場合であっても、受信したリプログデータがＥＣＵ３に書き込まれるという事態の発生を抑制することができる。これは、受信した暗号化ハッシュ値が暗号化されたときの鍵と、受信した暗号化ハッシュ値をＥＣＵ３が復号化するときの鍵が異なるため、改ざんされたリプログデータのハッシュ値と、受信した暗号化ハッシュ値を復号化したハッシュ値とが一致しなくなるからである。

以上説明した実施形態において、イーサネット通信部２１は本発明における第２受信手段、Ｓ８２０の処理は本発明における生成手段、Ｓ８３０の処理は本発明における暗号化手段、Ｓ８４０の処理は本発明における第３書換データ送信手段およびハッシュ値送信手段である。

（第３実施形態）
以下に本発明の第３実施形態を図面とともに説明する。なお第３実施形態では、第１実施形態と異なる部分を説明する。

第３実施形態の車載通信システム１は、リプログ中継処理と書換処理が第１実施形態と異なる。
まず、第３実施形態のリプログ中継処理の手順を説明する。

このリプログ中継処理が実行されると、ゲートウェイ装置２の制御部２５は、図１９に示すように、まずＳ１０１０にて、外部装置１０からリプログデータを受信したか否かを判断する。ここで、リプログデータを受信していない場合には（Ｓ１０１０：ＮＯ）、リプログ中継処理を一旦終了する。

一方、リプログデータを受信した場合には（Ｓ１０１０：ＮＯ）、Ｓ１０２０にて、Ｓ１０１０で受信したリプログデータを通信線１１（チャネル１）と通信線１２（チャネル２）で送信し、リプログ中継処理を一旦終了する。

次に、第３実施形態の書換処理の手順を説明する。
この書換処理が実行されると、ＥＣＵ３，４の制御部３３は、図２０に示すように、まずＳ１１１０にて、ゲートウェイ装置２からチャネル１とチャネル２でリプログデータを受信したか否かを判断する。ここで、リプログデータを受信していない場合には（ＳＳ１１１０：ＮＯ）、書換処理を一旦終了する。一方、リプログデータを受信した場合には（Ｓ１１１０：ＹＥＳ）、Ｓ１１２０にて、自装置が備えるプログラム記憶部に、Ｓ１１１０においてチャネル１で受信したリプログデータを書き込む。

その後Ｓ１１３０にて、Ｓ１１２０において書き込んだリプログデータと、Ｓ１１１０においてチャネル２で受信したリプログデータとを照合する。そしてＳ１１４０にて、Ｓ１１３０の照合結果に基づいて、両リプログデータが一致しているか否かを判断する。

ここで、両リプログデータが一致していない場合には（Ｓ１１４０：ＮＯ）、Ｓ１１２０に移行して、書き込みを再度行う。一方、両リプログデータが一致している場合には（Ｓ１１４０：ＹＥＳ）、書換処理を一旦終了する。

このように構成された車載通信システム１において、まず、ゲートウェイ装置２のイーサネット通信部２１は、通信線１４に接続され、通信線１４に接続された外部装置１０から、リプログデータを受信する。

そしてゲートウェイ装置２は、受信したリプログデータを、通信線１１および通信線１２を介してＥＣＵ３へ送信する（Ｓ１０２０）。
これによりＥＣＵ３は、以下の手順で、プログラムを書き換える処理を行うことができる。まずＥＣＵ３は、ゲートウェイ装置２から通信線１１を介してリプログデータを受信すると、受信したリプログデータを、自装置が備えるプログラム記憶部に書き込む。その後にＥＣＵ３は、書き込んだリプログデータと、通信線１２を介して受信したリプログデータとを照合する。

このため、ＥＣＵ３は、プログラムの書き込みが正常に行われたか否かを判断することができる。
以上説明した実施形態において、Ｓ１０２０の処理は本発明における第４書換データ送信手段である。

以上、本発明の一実施形態について説明したが、本発明は上記実施形態に限定されるものではなく、本発明の技術的範囲に属する限り種々の形態を採ることができる。
例えば上記実施形態では、車両内の３つのネットワークにゲートウェイ装置２が接続されているものを示したが、ゲートウェイ装置２が車両内の２つまたは４つ以上のネットワークに接続されているようにしてもよい。

また上記実施形態では、ゲートウェイ装置２が車両外の装置とイーサネットで接続されるものを示したが、これに限定されるものではなく、例えばＣＡＮ、Ｗｉ−Ｆｉ（登録商標）、ＵＳＢ（Universal Serial Bus）、Ｂｌｕｅｔｏｏｔｈ（登録商標）などで接続されるようにしてもよい。

また上記実施形態では、ゲートウェイ装置２が車両内の装置とＣＡＮで接続されるものを示したが、これに限定されるものではなく、例えばＬＩＮ（Local Interconnect Network）、ＦｌｅｘＲａｙ（登録商標）、ＭＯＳＴ（Media Oriented Systems Transport：登録商標）などで接続するようにしてもよい。

また上記実施形態では、ＥＣＵ３，４が、通信線１１においてＥＣＵ５からゲートウェイ装置２に到るまでの経路上で接続されるとともに、通信線１２においてＥＣＵ７からゲートウェイ装置２に到るまでの経路上で接続されるものを示したが（図１を参照）、ＥＣＵ３，４を通信線に接続する箇所はこれに限定されるものではない。

例えば図２１に示すように、通信線１１，１２の一端がゲートウェイ装置２に接続されるとともに、通信線１１，１２の他端がＥＣＵ３に接続されるようにしてもよい。このように接続された場合に、例えば、通信線１１に接続されているＥＣＵ５から、通信線１２に接続されているＥＣＵ７へデータを送信する場合には、ゲートウェイ装置２を介する必要がある（伝送経路ＴＰ１１を参照）。

しかし、通信線１１においてゲートウェイ装置２とＥＣＵ５との間で断線が発生すると（断線箇所ＯＰ１１を参照）、ゲートウェイ装置２を介してＥＣＵ５とＥＣＵ７との間でデータ通信を行うことができなくなる。

このような状況の場合に、ＥＣＵ３がチャネル１とチャネル２との間でデータの中継を行うことにより、通信線１１に接続されているＥＣＵ５から、通信線１２に接続されているＥＣＵ７へデータを送信することが可能となる（伝送経路ＴＰ１２を参照）。

また図２２に示すように、ＥＣＵ４を通信線１２，１３に接続するようにしてもよい。このように接続された場合に、例えば、ＥＣＵ３が、送信データを、通信線１１（チャネル１）で送信する（伝送経路ＴＰ２１を参照）とともに、通信線１２（チャネル２）で送信する（伝送経路ＴＰ２２を参照）。これにより、ＥＣＵ４は、ＥＣＵ３からのデータを、ゲートウェイ装置２を介して、通信線１３（チャネル３）で受信するとともに（伝送経路ＴＰ２１を参照）、通信線１２（チャネル２）で受信する（伝送経路ＴＰ２２を参照）。

しかし、通信線１２においてＥＣＵ３とＥＣＵ４との間で断線が発生すると（断線箇所ＯＰ２１を参照）、通信線１２（チャネル２）でデータ通信を行うことができなくなる。
このような状況の場合には、ＥＣＵ４は、ＥＣＵ３からのデータを通信線１３（チャネル３）のみで受信する。

１…車載通信システム、２…ゲートウェイ装置、３〜９…ＥＣＵ、１０…外部装置、１１〜１４…通信線、２１…イーサネット通信部、２２〜２４…ＣＡＮ通信部、２５…制御部

Claims (7)

1. 第１通信線（１１）および第２通信線（１２）に接続され、前記第１通信線に接続された第１通信装置（５）と、前記第２通信線に接続された第２通信装置（６）との間のデータ通信を中継する中継装置（２）と、
   前記第１通信線および前記第２通信線に接続され、前記第１通信線に接続された前記第１通信装置との間でデータ通信を行うとともに、前記第２通信線に接続された前記第２通信装置との間でデータ通信を行う第３通信装置（３）と、
   前記第１通信線および前記第２通信線において断線が発生した断線箇所を検出する断線検出手段（Ｓ１０）と、
   前記断線検出手段による前記断線箇所の検出結果に基づいて、前記中継装置が前記第１通信装置と前記第２通信装置との間のデータ通信を中継することが不可能であり、且つ、前記第３通信装置が前記第１通信装置および前記第２通信装置との間のデータ通信を行うことが可能であると判断した場合に、前記第３通信装置に、前記第１通信装置と前記第２通信装置との間のデータ通信を中継させる断線時中継手段（Ｓ２０〜Ｓ６０）とを備える
   ことを特徴とする中継システム。
2. 前記断線検出手段による前記断線箇所の検出結果に基づいて、前記第３通信装置が前記第１通信装置との間のデータ通信を行うことが不可能であり、且つ、前記中継装置が前記第３通信装置と前記第１通信装置との間のデータ通信を中継することが可能であると判断した場合に、前記第３通信装置に、前記第１通信線を介したデータ通信の代わりに、前記第２通信線を介したデータ通信を行わせる第１通信変更手段（Ｓ２０，Ｓ４０，Ｓ５０，Ｓ７０，Ｓ９０）を備える
   ことを特徴とする請求項１に記載の中継システム。
3. 前記断線検出手段による前記断線箇所の検出結果に基づいて、前記第３通信装置が前記第２通信装置との間のデータ通信を行うことが不可能であり、且つ、前記中継装置が前記第３通信装置と前記第２通信装置との間のデータ通信を中継することが可能であると判断した場合に、前記第３通信装置に、前記第２通信線を介したデータ通信の代わりに、前記第１通信線を介したデータ通信を行わせる第２通信変更手段（Ｓ２０，Ｓ４０，Ｓ５０，Ｓ７０，Ｓ８０）を備える
   ことを特徴とする請求項１または請求項２に記載の中継システム。
4. 前記第３通信装置は、
   前記第１通信線を介して第１送信データを送信するとともに、前記第２通信線を介して第２送信データを送信し、
   前記第１送信データと前記第２送信データには、互いに同じ内容のデータが含まれる
   ことを特徴とする請求項１〜請求項３の何れか１項に記載の中継システム。
5. 前記中継装置は、
   第３通信線（１４）に接続され、前記第３通信線に接続されたプログラム書換装置（１０）から、前記第３通信装置が所定の制御対象を制御するための制御プログラムの内容を書き換えるための第１書換データと、前記制御プログラムの内容を書き換えるためのデータであり第１書換データとは異なる第２書換データとを受信する第１受信手段（２１）と、
   前記第１受信手段で受信した前記第１書換データを、前記第１通信線を介して前記第３通信装置へ送信する第１書換データ送信手段（Ｓ６３０）と、
   前記第１受信手段で受信した前記第２書換データを、前記第２通信線を介して前記第３通信装置へ送信する第２書換データ送信手段（Ｓ６４０）とを備える
   ことを特徴とする請求項１〜請求項４の何れか１項に記載の中継システム。
6. 前記中継装置は、
   第３通信線に接続され、前記第３通信線に接続されたプログラム書換装置から、前記第３通信装置が所定の制御対象を制御するための制御プログラムの内容を書き換えるための書換データを受信する第２受信手段（２１）と、
   前記第２受信手段で受信した前記書換データのハッシュ値を生成する生成手段（Ｓ８２０）と、
   前記生成手段で生成された前記ハッシュ値を暗号化して、暗号化ハッシュ値を生成する暗号化手段（Ｓ８３０）と、
   前記第２受信手段で受信した前記書換データを、前記第１通信線を介して前記第３通信装置へ送信する第３書換データ送信手段（Ｓ８４０）と、
   前記暗号化手段で生成された前記暗号化ハッシュ値を、前記第２通信線を介して前記第３通信装置へ送信するハッシュ値送信手段（Ｓ８４０）とを備える
   ことを特徴とする請求項１〜請求項４の何れか１項に記載の中継システム。
7. 前記中継装置は、
   第３通信線に接続され、前記第３通信線に接続されたプログラム書換装置から、前記第３通信装置が所定の制御対象を制御するための制御プログラムの内容を書き換えるための書換データを受信する第２受信手段と、
   前記第２受信手段で受信した前記書換データを、前記第１通信線および前記第２通信線を介して前記第３通信装置へ送信する第４書換データ送信手段（Ｓ１０２０）と、
   ことを特徴とする請求項１〜請求項４の何れか１項に記載の中継システム。